Samarbeidsavtale om bruk av sandkasse

1. Om prosjektet og sandkassen

I forbindelse med EUs vedtatte revisjon av eIDAS-forordningen[1], gjennomfører Digdir ulike prosjekt for å forberede for en eventuell innlemming av endringene i EØS-avtalen. Endringene medfører blant annet en forpliktelse for statene til å tilby en europeisk digital lommebok («EUDIW») til innbyggerne sine. Regelverksendringene omfatter også etablering av virksomhetslommebøker, men ikke som en statlig forpliktelse. I Norge skal det offentlige følgelig ikke tilby virksomhetslommebøker, men legge til rette for at slike kan utvikles og tilbys i et åpent, tillitsbasert økosystem. Som ledd i arbeidet vil Digitaliseringsdirektoratet (Digdir) og Brønnøysundregistrene (BR) lansere/tilby en sandkasse bestående av digital infrastruktur og tekniske løsninger basert på EUs arkitektoniske rammeverk for EUDIW, for utprøving av systemløsninger i et kontrollert og sikkert miljø.

Med sandkasse menes infrastruktur og flere tekniske løsninger i felles økosystem for pilotering av løsninger for digital lommebok til person og til virksomhet. Det kan brukes både testdatasett og eventuelt skarpe data fra utvalgte personer og virksomheter, som er informert om risiko og tester frivillig. Pilotansvarlig er i sistnevnte tilfelle ansvarlig for å ha lovlig behandlingsgrunnlag for bruken av personopplysninger.

Formålet med sandkassen er å bygge erfaring med-, og fremskaffe ny kunnskap om, teknologi og infrastruktur, stimulere til innovativ utprøving, dele kunnskap og identifisere muligheter og hindre for innføring av løsninger i tråd med eIDAS 2-forordningen med tilhørende gjennomføringsrettsakter. Deltakelse i sandkassen skal også kunne bidra til norske deltakeres måloppnåelse i det europeiske We Build-prosjektet.

Utprøvingen skal skje i samarbeid med et (bredt) utvalg av offentlige og private aktører. Denne avtalen gjelder Digdirs/BRs samarbeid med offentlige deltakere.

Presenterte løsningsforslag, som fremstår som lite egnet for å tilfredsstille rettslige og/eller tekniske sikkerhetskrav, vil kunne bli avvist fra å delta i sandkassen.

I tillegg til å bidra med kunnskapsgrunnlag underveis, skal utprøvingen resultere i en sluttrapport med anbefaling for vegen videre. En offentlig versjon av sluttrapporten, uten informasjon om deltakernes eventuelle forretningshemmeligheter eller opplysninger som av sikkerhetsmessige årsaker bør unntas, vil bli gjort allment tilgjengelig.

2. Ytterligere rammer og tidsavgrensning

I den grad lommebokløsningene omfatter bruk av eksisterende infrastruktur og løsninger, som for eksempel ID-porten eller MinID, så vil Bruksvilkår for offentlige kunder gjelde så langt de passer.

Utprøvingsperioden i sandkassen vil være tidsavgrenset. Sandkassen vil bli lansert 21.10.2025 og vil være åpen for utprøving/pilotering ut kalenderåret 2027. Denne samarbeidsavtalen gjelder i sandkassens utprøvingsfase. Når den digitale lommebokløsningen, inkludert infrastruktur, går over i ordinær driftsfase/kommer i produksjon, gjelder/vil det komme egne bruksvilkår, avtaler og lovregulering.

3. Beskrivelse av infrastrukturen og de tekniske løsningene – avgrensning

Innholdet i sandkassen vil være under kontinuerlig utvikling. Kjøremiljøet vil etterstrebe å løpende holde tritt med utvidelser og endringer i de regler og standarder som er angitt av EU i referansearkitekturen (ARFen) og i WeBuild sine styrende dokumenter. Hva Digdir og BR tilbyr i sandkassen vil til enhver tid gå frem av den tekniske dokumentasjonen for sandkassen lenket til under:

Nasjonal sandkasse for digital lommebok | Samarbeidsportalen

Sandkassen vil bestå av ett kjøretidsmiljø for testdata, og et separat kjøretidsmiljø for produksjonsdata.

4. Partenes ansvar og oppgaver

Digitaliseringsdirektoratets og Brønnøysundsregisterenes ansvar og oppgaver:

• Tilby og levere formålstjenlig infrastruktur og tekniske løsninger («sandkassen»), herunder
  • utvikle det minimum av kjerneinfrastruktur som trengs for at sandkassen kan fungere for deltagerne
  • utvikle og videreutvikle funksjonalitet som, etter kost/nytte-vurderinger, dekker de behov deltagerne har for å realisere sine brukstilfeller
  • Digdir sine komponenter vil som hovedregel blir tilbudt som åpen kildekode
• Styre utarbeiding av overordnet prosjektplan, mål, oppgaver og fremdriftsplan

• Digdir har overordnet prosjektansvar og sørger for nødvendige ressurser for å nå fastsatt fremdriftsplan for det overordnede prosjektet. BR vil ha tilsvarende ansvar for virksomhetslommebøkene.

Deltakerens ansvar og oppgaver:

• Stille med grunndata /testdata avhengig av rolle
• Stille med nødvendig kompetanse (faglig og teknisk) og ressurser.
• Gjennomføre risikovurdering for tjenestene som ønskes tilknyttet
• Utvikle nødvendige komponenter og funksjonalitet som kreves for å realisere sine brukstilfeller, og å drifte disse komponentene i eget kjøretidsmiljø
• Ved behov og på sikt stille med ekte brukere, avhengig av rolle.
• Være ansvarlig for sikkerhet i egne tjenester, og sørge for tilgangsstyring og internkontroll
• Være villig til å kaste løsninger og komponenter, utarbeidet på bakgrunn av Digdirs/BRs digitale infrastruktur, dersom vi ikke oppnår målene
• Melde inn avvik og endringsforslag, og dele erfaringer, evalueringer og eventuelt andre innspill, til Digdir på kanal valgt av Digdir
• Deltakere som gjennomfører egne piloter i sandkassen har selv ansvaret for gjennomføringen.

Ved signering av denne avtalen forplikter deltakerne og Digdir/BR seg til kun å bruke sandkassen innfor prosjektets rammer og formålsavgrensning.

5. Behandlingen av personopplysninger i sandkassen

a. Personopplysninger

Følgende personopplysninger vil kunne bli behandlet i prosjektene/pilotene som gjennomføres i sandkassen:

Mulige kategorier registrerte:

• Ansatte i de piloterende virksomhetene:
  • De som har tilgang til den tekniske løsningen (kontaktopplysninger)
  • Testpersoner (personlige opplysninger)
    • Tester enten som tilsatt eller som innbygger/privatperson
• Andre testpersoner uten ansettelsesforhold

Mulige kategorier opplysninger (ikke uttømmende):

• Navn
• Kontaktinformasjon
• Fødselsnummer og andre entydige identifikasjonsmidler (ikke biometriske data)

b. Behandlingsansvarlig og behandlingsgrunnlag

Både konsument av data og tilbyder av data må ha behandlingsgrunnlag for personopplysninger i sandkassen (personopplysningsloven art. 6, jf. § 1). Saklig og nødvendig behov for behandling av fødselsnummer og andre entydige identifikasjonsmidler (personopplysningsloven § 12) vil foreligge der formålet er ID-kontroll.

Hvem som er behandlingsansvarlig vil avhenge av hvem som bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes, jf. personvernforordningen inntatt i personopplysningsloven (GDPR) art. 4 nr. 7. Digdir/BR vil i mange tilfelle være en tilrettelegger, i personvernsammenheng en databehandler, for deltakere som gjennomfører egne piloter i sandkassen, og i noen tilfeller behandlingsansvarlig, for eksempel for bruken av personopplysninger i tillitslistene.

Som tilbyder av infrastruktur og tekniske løsninger for utprøving av digital lommebokløsning, blir Digdir behandlingsansvarlig for tilgangsstyringen til sandkassen (ansatte i de deltakende virksomhetene). Behandlingsgrunnlaget er berettiget interesse, i samsvar med GDPR art. 6 nr. 1 bokstav f. Kontaktinformasjonen blir innhentet fra vedkommende ansattes arbeidsgiver.

Behandlingsgrunnlaget vil ellers, i all hovedsak, måtte baseres på den registrertes samtykke til behandling for ett eller flere spesifikke formål, jf. GDPR art. 6 nr. 1 bokstav a, og i samsvar med vilkårene for samtykke, jf. GDPR art. 7.

Når det gjelder samtykke til behandling for forskningsformål, følger det av GBER fortalepunkt 33 at den registrerte kan gi et bredt samtykke, det vil si å «gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning». Så langt formålet tillater det, bør imidlertid den registrerte ha mulighet til å «gi sitt samtykke bare til visse forskningsområder eller deler av forskningsprosjekter».

Ved bruk av underleverandør/databehandler, må behandlingsansvarlig inngå avtale i tråd med personvernforordningen art. 28.

c. Digdir/BR som databehandler

På vegne av de deltakende virksomhetene behandler Digdir personopplysninger, som databehandler. For eksempel ved utstedelse av PID og attestert attributt, og ved inngåelse av kundeforhold for lommebok.

Med henvisning til personvernforordningen («GDPR/forordningen») art. 28, punkt 3, jf. personopplysningsloven § 1 angis følgende:

1. Digitaliseringsdirektoratet/BR behandler personopplysninger i henhold til løsningsbeskrivelsen i punkt 3.
2. Digitaliseringsdirektoratet/BR og alle personer som er autorisert til å behandle personopplysninger i sandkassen er underlagt forvaltningsmessig taushetsplikt om alle forhold de får innsyn i ved å behandle personopplysninger i henhold til denne avtalen.
3. Digitaliseringsdirektoratet/BR treffer tiltak etter forordningen art 32.
4. Digitaliseringsdirektoratet/BR har Tietoevry som underleverandør.
5. Digitaliseringsdirektoratet/BR har rutiner for å oppfylle den registrertes rettigheter etter forordningen kap. III.
6. Digitaliseringsdirektoratet/BR bistår med oppfylling av plikter etter forordningen art 32-36.
7. Digitaliseringsdirektoratet/BR lagrer opplysningene i sandkassen i samsvar med eIDAS og eventuell annen regulering spesifikk for deltaker.
8. For den behandlingsansvarlige skal Digdir/BR tilgjengeliggjøre all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i denne artikkel er oppfylt, samt muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av den behandlingsansvarlige eller en annen revisor på fullmakt fra den behandlingsansvarlige.

6. Tilgjengelighet og sikkerhet i piloten

Digdirs og BRs kjernekomponenter vil kjøre i et robust og redundant driftsmiljø laget for 24/7-drift. Det vil kun jobbes med utvikling og feilretting innenfor vanlig arbeidstid.

7. Økonomi

Digdir, Brreg og deltakerne dekker hver sine utgifter til personalbruk, utvikling og andre kostnader forbundet med sandkassen og deltakelse i sandkassen.

8. Tvisteløsning

Hver av deltakerne har ansvar for- og bestemmer over sine komponenter i løsningen. Dersom tvister fører til utfordringer med interoperabilitet som hindrer oppnåelse av formålet med avtalen og sandkassen, skal dette eskaleres til den enkelte deltakers prosjektleder og løses gjennom dialog. Dersom det ikke lykkes løst av prosjektledere, skal tvisten eskaleres til neste nivå i den respektive deltakers styringslinje.

9. Roller

Prosjektleder: Tor Alvik

Utvikling og ansvar for teknisk pilot: Jørgen Binningsbø

Kontaktperson BR: Charlotte Kolle